Katalog podatności CVE

W jądrze Linux w sterowniku media saa7164 funkcja saa7164_dev_setup() dodaje urządzenie do globalnej listy saa7164_devlist przed żądaniem regionów pamięci PCI BAR. Gdy get_resources() zawiedzie, urządzenie pozostaje na liście, a ścieżka błędu próbkowania zwalnia je, pozostawiając wiszący wpis.

W jądrze Linuxa w sterowniku VPE (Video Processing Engine) dla platform TI wykryto podatność polegającą na braku synchronizacji pracy wątku odzyskiwania po przepełnieniu FIFO oraz obsługi przerwań z procesem zatrzymywania strumienia. Może to prowadzić do użycia po zwolnieniu (use-after-free) zasobów strumienia, gdy przerwanie lub praca wątku zostanie wykonana po zakończeniu jego życia.

W jądrze Linux w module media v4l2-ctrls brakuje walidacji liczników RPS w HEVC EXT SPS. Sterowniki dekoderów mogą indeksować poza tablice dynamiczne, jeśli wartości SPS przekraczają limity HEVC (64 zestawy krótkoterminowe, 32 referencje długoterminowe) lub przekraczają maksimum DPB.

W jądrze Linux w sterowniku media zoran występuje podwójne zwolnienie zarejestrowanego video_device. Funkcja zoran_exit_video_devices() wywołuje video_unregister_device(), a następnie kfree() na tym samym obiekcie, który jest już zwalniany przez callback zoran_vdev_release().

W jądrze Linux sterownik scsi qla2xxx w funkcji qla_chk_edif_rx_sa_delete_pending() występuje dereferencja wskaźnika NULL, gdy polecenie SCSI jest już zwrócone lub przerwane. Może to prowadzić do awarii jądra w kontekście przerwania.

W jądrze Linux sterownik scsi qla2xxx w funkcji qla24xx_report_id_acquisition() występuje use-after-free, ponieważ wirtualny port jest używany po zwolnieniu blokady vport_slock bez pobrania referencji. Współbieżne qla24xx_deallocate_vp_id() może zwolnić port, prowadząc do uszkodzenia pamięci.

W jądrze Linux sterownik scsi qla2xxx w funkcjach qla_nvme_fcp_abort() i qla_nvme_ls_abort() wywołuje INIT_WORK() przed schedule_work(), co przy wielokrotnym przerwaniu tego samego polecenia może spowodować korupcję listy workqueue i awarię lub zapętlenie workera.

W sterowniku scsi: qla2xxx jądra Linux liczba kolejek wyliczana z liczby wektorów MSI-X (msix_count - 1) jest zapisywana do pola typu u8, co powoduje obcięcie wartości. Przy 257 wektorach MSI-X wynik 256 obcina się do 0, a w trybie target kolejna dekrementacja powoduje niedomknięcie do 255. Gdy liczba kolejek wynosi 0, alokacja zwraca ZERO_SIZE_PTR, który nie jest NULL-em, więc sprawdzenie przechodzi i dochodzi do wyłuskania tego wskaźnika, co psuje pamięć lub powoduje awarię jądra.

W sterowniku scsi: qla2xxx jądra Linux funkcja qla84xx_put_chip() zwalnia ostatnie odwołanie do ha->cs84xx i uwalnia je przez __qla84xx_chip_release() bez wyczyszczenia ha->cs84xx. Podczas rozbierania urządzenia działała ona przed scsi_remove_host(), która usuwa atrybut sysfs 84xx_fw_version. Równoległy odczyt tego atrybutu w oknie między tymi wywołaniami wywołuje qla24xx_84xx_fw_version_show(), która wyłuskuje zwolniony ha->cs84xx, powodując use-after-free.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2x00_status_entry() przepuszczała nie-SCSI wpisy SRB do szybkiej ścieżki SCSI, gdzie odczytywany był wskaźnik sp->u.scmd.cmd. Nieoczekiwany STATUS_TYPE IOCB dla uchwytu innego niż SCSI mógł spowodować odczyt wskaźnika śmieciowego i dereferencję dzikiego wskaźnika.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla2xxx_delete_qpair() usuwała kolejkę żądań przed kolejką odpowiedzi, pozostawiając okno, w którym przerwanie MSI-X odpowiedzi mogło odwołać się do zwolnionej pamięci rsp->req. Prowadzi to do use-after-free.

W jądrze Linux w sterowniku scsi: qla2xxx funkcja qla24xx_report_id_acquisition() w ścieżce format-1 wywoływała qla_update_host_map() bez blokady vport_slock, co mogło powodować wyścig z równoległymi aktualizacjami host_map i uszkodzenie drzewa btree.

W jądrze Linux w systemie plików f2fs funkcja redirty_blocks() mogła wykonać dodatkową iterację pętli czyszczącej, gdy read_cache_folio() zawiodło przed przypięciem jakichkolwiek folio, powodując zbyt wczesne zwolnienie referencji (folio_put_refs z 2). Prowadziło to do błędu "BUG: Bad page state" przy późniejszym drop_caches lub reclaim.

W jądrze Linux w f2fs funkcja F2FS_IOC_MOVE_RANGE sprawdza zakres źródłowy, ale nie sprawdza końca zakresu docelowego przed aktualizacją i_size. Dziura w źródle może to ujawnić, ponieważ __clone_blkaddrs() pomija wpisy NULL_ADDR i zwraca sukces, pozwalając na rozszerzenie i-węzła docelowego bez sprawdzenia pos_out + len.

W jądrze Linux w f2fs nazwy plików odzyskiwania są przechowywane jako długość plus bufor i_name o stałym rozmiarze, który nie jest zakończony NUL. Funkcje recover_inode() i recover_dentry() wypisują go przez %s, co dla nazwy 255-bajtowej może odczytać dane poza buforem i_name.

W jądrze Linux w systemie plików f2fs występuje wyścig (race condition) w funkcji f2fs_get_read_data_folio(), która wywołuje f2fs_folio_put() przed folio_nr_pages() podczas unieważniania dużego folio z pamięci podręcznej stron. Powoduje to, że równoległy truncate lub podział folio może zmniejszyć lub zwolnić folio, zanim zostanie obliczony zakres unieważniania, co prowadzi do pozostawienia nieaktualnych wpisów w xarray i błędnego stanu stron.

W jądrze Linux w f2fs gdy blok węzła jest uszkodzony z powodu niezgodności sumy kontrolnej lub niespójnych informacji stopki, należy wyczyścić flagę dirty folio węzła, aby utrwalić niespójne dane węzła w pamięci masowej. Brak tej operacji w ścieżce błędu.

W jądrze Linux funkcja f2fs_sanity_check_node_footer() nie otrzymuje poprawnej wartości folio->index, przez co sprawdza ten sam nid w nieprawidłowy sposób. Może to prowadzić do błędnej weryfikacji spójności węzłów w systemie plików f2fs.

W jądrze Linux funkcja panthor_fw_read_build_info() sterownika drm/panthor sprawdza zakres metadanych za pomocą dodawania dwóch pól u32 (hdr.meta_start + hdr.meta_size), co może się przekręcić i przepuścić zakres poza granicami. Dodatkowo odczyt prefiksu "git_sha: " następuje bez sprawdzenia długości metadanych, a meta_size == 0 może spowodować niedomiar indeksu terminatora NULL.

W jądrze Linux funkcje panthor_init_cs_iface() i panthor_init_csg_iface() sterownika drm/panthor walidują przesunięcia interfejsu sterowania firmware za pomocą arytmetyki 32-bitowej i rozmiaru struktur opakowujących hosta, co może się przekręcić przed sprawdzeniem granic. Sprawdzany rozmiar nie odpowiada rzeczywistemu rozmiarowi mapowanego interfejsu sterowania firmware.